CVE-2026-20194: Kritisk fejl i Cisco ISE og ISE-PIC
Kritisk fejl i Cisco ISE og ISE-PIC giver angribere fuld kontrol over systemer. Opdatér hurtigst muligt.
Hvad er det?
CVE-2026-20194 er en samling af sårbarheder i Cisco Identity Services Engine (ISE) og Cisco ISE Passive Identity Connector (ISE-PIC). Fejlene er kategoriseret som forkert ressourceoverførsel mellem sikkerhedsdomæner, hvilket betyder, at data eller rettigheder flyttes til steder i systemet, de ikke burde nå. Cisco opdagede sårbarhederne selv under en intern sikkerhedsgennemgang og har udgivet en opdatering som følge heraf. Der er endnu ingen rapporter om, at sårbarhederne udnyttes aktivt udefra.
Hvem rammer det?
Sårbarhederne rammer organisationer, der anvender Cisco Identity Services Engine (ISE) eller Cisco ISE Passive Identity Connector (ISE-PIC) til netværksadgangskontrol og identitetsstyring. Det er typisk kommuner, hospitaler, mellemstore virksomheder og andre, der bruger Cisco-infrastruktur til at styre, hvem der må logge på netværket. Cisco har ikke offentliggjort en komplet liste over ramte versioner i NVD-beskrivelsen. Tjek Ciscos officielle sikkerhedsbulletin for de præcise versionsnumre.
Hvad kan ske?
Cisco ISE er ofte et centralt kontrolpunkt for netværksadgang. Udnyttes sårbarhederne, kan en angriber med administratoradgang eskalere sin kontrol på tværs af sikkerhedsgrænser og potentielt få fuld rådighed over systemet, herunder adgang til fortrolige data, mulighed for at ændre adgangspolitikker og forstyrre driften. For en dansk virksomhed eller kommune kan det betyde, at angribere kan åbne adgang til ellers lukkede netværkssegmenter eller deaktivere adgangskontrol for kritiske systemer.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og administratorrettigheder, men kræver ingen brugerhandling og er kompleksitetsmæssigt lavt. Scopen er udvidet, det vil sige at konsekvenserne rækker ud over det ramte system til andre dele af infrastrukturen. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj risiko. Cisco har ikke rapporteret aktiv udnyttelse, men den høje score og den brede virkning gør opdatering presserende.
Hvad gør jeg nu?
Udfør disse trin i prioriteret rækkefølge for at lukke sårbarhederne og begrænse risikoen:
- Gå til Ciscos officielle sikkerhedsbulletin for CVE-2026-20194 og find den anbefalede opdaterede version af Cisco ISE og ISE-PIC. Installér opdateringen på alle berørte systemer.
- Tjek, hvilke versioner af ISE og ISE-PIC I kører i dag. Er I i tvivl, brug Cisco’s produkt- eller licensportal.
- Begræns administrativ adgang til ISE-konsollen mest muligt, så kun navngivne personer med tjenstligt behov har adgang, mens I venter på opdateringen.
- Gennemgå logfiler fra ISE for usædvanlig administratoraktivitet i perioden op til og efter offentliggørelsen den 16. september 2026.
- Kontakt jeres Cisco-partner eller en ekstern sikkerhedskonsulent, hvis I ikke har ressourcer til selv at gennemføre opdateringen eller loggennemgangen inden for 48 timer.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Cisco ISE og ISE-PIC til den seneste version straks. Selv om der ikke er rapporteret aktiv udnyttelse, er den kritiske CVSS-score og den brede konsekvens for netværksadgangskontrol grund nok til ikke at vente til næste planlagte vedligeholdelsesvindue. Er jeres ISE-installation driftet af en ekstern leverandør, skal I kontakte dem i dag og bede om en bekræftelse på, hvornår opdateringen gennemføres. Det er acceptabelt at vente til et planlagt vindue i weekenden, men kun hvis I i mellemtiden har indskrænket administrativ adgang og aktiveret logovervågning.
Tidslinje
Konkrete eksempler
Kommune med Cisco ISE til netværksadgangskontrol
En mellemstor dansk kommune bruger Cisco ISE til at styre, hvem der må tilgå kommunens netværk og hvilke systemer. En angriber, der har kompromitteret en administratorkonto via et phishing-angreb, udnytter CVE-2026-20194 til at flytte rettigheder på tværs af sikkerhedsdomæner og får dermed adgang til netværkssegmenter, der ellers er afskåret, herunder systemer med borgerdata. Uden opdateringen ville dette ikke kunne opdages, før skaden er sket.
Ofte stillede spørgsmål
Bruger vi Cisco ISE? Hvordan finder vi ud af det?
Cisco ISE er et system til netværksadgangskontrol, der typisk er synligt i jeres netværksdokumentation eller hos jeres it-leverandør. I kan også søge i Ciscos licensportal eller spørge den, der administrerer jeres netværksinfrastruktur. Er I i tvivl, kontakt jeres Cisco-partner.
Kan vi vente til weekenden med at opdatere?
Der er ikke rapporteret aktiv udnyttelse af sårbarhederne. Det giver et begrænset råderum, men da scoren er 9,1 og konsekvenserne er brede, bør opdateringen ske inden for 48 timer. Hvis I vælger at vente til weekenden, skal I inden da have begrænset administrativ adgang og aktiveret logovervågning.
Kræver det, at vi lukker netværket ned under opdateringen?
En opdatering af Cisco ISE kræver normalt en planlagt genstart af ISE-tjenesten. Afhængigt af jeres konfiguration kan det kortvarigt påvirke netværksadgangskontrol. Planlæg opdateringen i et vedligeholdelsesvindue og orientér relevante brugere på forhånd.
Skal vi anmelde dette til Datatilsynet?
En anmeldelse til Datatilsynet er kun påkrævet, hvis I har konstateret et faktisk brud på persondatasikkerheden, det vil sige at uautoriserede har fået adgang til personoplysninger. Opdager I mistænkelig aktivitet i jeres ISE-logs, skal I vurdere, om der er sket et brud, og i så fald anmelde inden for 72 timer efter, I blev opmærksomme på det.
Angriberen skal have administratorrettigheder. Er vi så ikke beskyttet allerede?
Kravet om administratorrettigheder reducerer risikoen, men eliminerer den ikke. Kompromitterede administratorkonti er en hyppig angrebsvektor. Sårbarhedernes alvor ligger i, at en angriber med administratoradgang kan nå langt ud over det forventede, på tværs af sikkerhedsdomæner i jeres infrastruktur. Opdatering er den eneste sikre løsning.
Hvad er ISE-PIC, og bruger vi det?
Cisco ISE Passive Identity Connector (ISE-PIC) er en lettere version af ISE, der primært bruges til at indsamle identitetsoplysninger fra Active Directory og andre kilder. Det bruges typisk i organisationer, der ønsker brugeridentitet i netværkslogfiler uden fuld ISE-implementering. Spørg jeres netværksadministrator eller it-leverandør, om I har ISE-PIC installeret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
As part of Cisco’s ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC), engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.
The vulnerabilities tracked by CVE-2026-20194 are related to incorrect resource transfer between spheres that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-669.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.